AfD-ovo curenje podataka od 421.000 e-poruka pružilo je javnosti neobičan uvid u unutrašnjost njemačke političke stranke. Prema heise online, stranka "Alternativa za Njemačku" očito je pretrpjela upad u podatke, a objavljeno je otprilike 421.000 e-poruka. Naslov izvješća također spominje nezakonito kopirane datoteke. Velik dio izvještavanja usredotočit će se na ono što poruke otkrivaju o stranci. Ovaj članak zauzima drugačiji kut: što curenje ove vrste znači za obične ljude koji se pojavljuju u tuđem sandučiću.

Napomena o opsegu: izvorni je članak kratak, a mnogi detalji, poput toga kako su podaci uzeti, tko ih je objavio i što točno e-poruke sadrže, nisu utvrđeni u materijalu koji imamo. Držimo se onoga što je objavljeno i objašnjavamo općenite rizike koji proizlaze iz svakog velikog curenja e-pošte.

Što je objavljeno u AfD-ovom curenju e-pošte

Osnovne činjenice su ograničene. Stranka je očito pretrpjela upad u podatke, a oko 421.000 e-poruka postalo je javno. Heise opisuje materijal kao uvid u unutrašnjost stranke. Riječ "očito" je važna: upad je prijavljen, ali čitatelji bi trebali s oprezom tretirati daljnje tvrdnje koje kruže internetom dok ih stranka, istražitelji ili pouzdani mediji ne potvrde.

Arhive e-pošte među su najotkrivajućim vrstama procurjelih podataka. Za razliku od baze podataka korisničkih imena, poštanski sandučić sadrži razgovore u slobodnom tekstu, privitke, proslijeđene dokumente, potpise s telefonskim brojevima i pune zaglavlja koji pokazuju tko je kome pisao i kada. Čak i ako samo djelić od 421.000 poruka sadrži osjetljiv materijal, količina čini teškim da bilo tko unaprijed zna što se u njima nalazi.

Tko je izložen osim same stranke

Ljudi na koje će najvjerojatnije utjecati nisu nužno čelnici stranke. Svatko tko je dopisivao s organizacijom mogao bi se pojaviti u arhivi: članovi koji su poslali prijave ili pitanja, donatori, sudionici događanja, novinari, dobavljači, lokalni dužnosnici i članovi javnosti koji su pisali s pritužbama ili mišljenjima. Nitko od njih nije kontrolirao kako je stranka pohranjivala ili štitila svoju poštu.

To je središnja lekcija organizacijskih upada. Vaša izloženost ovisi o sigurnosnim praksama svake skupine s kojom komunicirate, a ne samo o vašima. Osoba koja je napisala jednu jedinu poruku političkoj stranci mogla bi sada imati svoje ime, adresu e-pošte i sve detalje iz te poruke u javnom istovarivanju podataka.

U političkom kontekstu ulozi mogu biti viši nego u tipičnom komercijalnom curenju. Povezanost sa strankom može biti osjetljiva, a objavljena korespondencija može dovesti do uznemiravanja, doxxinga ili ciljanog phishinga. Prevaranti također imaju sklonost ponovno koristiti procurjele kontakt podatke za sastavljanje uvjerljivih poruka koje se pozivaju na stvarne razgovore. Isti obrazac sekundarne štete pojavljuje se i u drugim incidentima koje smo obradili, poput Gyazo curenja podataka koje je izložilo 23,6 milijuna korisničkih zapisa, gdje je stvarni rizik za pojedince proizašao iz onoga što su drugi mogli učiniti s procurjelim podacima nakon toga.

GDPR obveze za stranku i prava za pogođene osobe

Budući da stranka djeluje u Njemačkoj, relevantan je europski Okvir Opće uredbe o zaštiti podataka. Prema GDPR-u, organizacija koja pretrpi povredu osobnih podataka općenito mora bez nepotrebnog odgađanja obavijestiti nadležno nadzorno tijelo, i gdje je izvedivo u roku od 72 sata od saznanja o povredi, osim ako je malo vjerojatno da će povreda ugroziti ljude. Ako je rizik za pojedince visok, organizacija također mora izravno obavijestiti pogođene. Politička mišljenja tretiraju se kao posebna kategorija osobnih podataka prema uredbi, što podiže razinu zaštite i nadzora.

Nemamo potvrdu iz izvornog članka o tome jesu li obavijesti poslane, pa ne možemo reći je li stranka ispunila te obveze. Ono što možemo opisati su prava koja ljudi imaju:

  • Pravo na pristup: možete pitati organizaciju obrađuje li vaše osobne podatke i zatražiti kopiju.
  • Pravo na brisanje: u mnogim okolnostima možete zatražiti brisanje svojih podataka.
  • Pravo na pritužbu: možete podnijeti pritužbu tijelu za zaštitu podataka ako smatrate da je vašim podacima nepropisno postupano.
  • Pravo na naknadu štete: GDPR omogućuje pojedincima da traže naknadu za materijalnu ili nematerijalnu štetu uzrokovanu kršenjima.

Ako ste ikada bili u kontaktu sa strankom, slanje zahtjeva za pristup razuman je način da saznate što o vama drže.

Što to znači za vas

Ne morate biti član stranke da bi vas dotaknulo ovakvo curenje. Ako ste pisali, donirali ili se registrirali kod bilo koje organizacije koja je pretrpjela upad, pretpostavite da su detalji iz tih poruka sada možda javni. Praktični rizici su phishing, lažno predstavljanje i neželjena pažnja, a ne trenutačno preuzimanje računa, osim ako je lozinka ili poveznica za prijavu poslana e-poštom.

Posljednja točka zaslužuje pažnju. Stare e-poruke često sadrže poveznice za poništavanje lozinke, dijeljene vjerodajnice ili brojeve računa. Ako ste ikada poslali ili primili takve detalje u korespondenciji s pogođenom organizacijom, tretirajte ih kao kompromitirane. Velika istovarivanja internih podataka, poput onoga opisanog u našem izvješću o Valveovom 12TB Teraleaku, pokazuju kako dugo zaboravljeni materijal može isplivati godinama kasnije.

Kako se zaštititi nakon organizacijskog upada

Ne možete popraviti tuđu sigurnost, ali možete ograničiti štetu na svojoj strani:

  1. Provjerite baze podataka o curenjima. Pretražite svoju adresu e-pošte u uglednoj usluzi za obavještavanje o curenjima kako biste vidjeli pojavljuje li se u poznatim istovarivanjima.
  2. Koristite jedinstvene lozinke. Upravitelj lozinki omogućuje vam da svakom računu date vlastitu lozinku, tako da jedno curenje ne može otključati druge.
  3. Uključite dvofaktorsku autentifikaciju. Gdje je moguće, preferirajte aplikaciju za autentifikaciju ili hardverski ključ umjesto SMS-a.
  4. Budite skeptični prema porukama koje se pozivaju na prošli kontakt. Napadači mogu citirati stvarne detalje iz procurjelih e-poruka. Provjerite putem kanala kojem već vjerujete prije klikanja ili odgovaranja.
  5. Razmislite o aliasu e-pošte. Korištenje zasebnih adresa za različite organizacije ograničava što jedno curenje otkriva o vama.
  6. Ostvarite svoja GDPR prava. Pitajte koje podatke organizacija obrađuje i zatražite brisanje gdje je primjereno.

VPN ne pomaže protiv upada u tuđi poštanski poslužitelj, budući da se izlaganje događa kod organizacije. Ostaje koristan za zaštitu vlastitog prometa, ali ovdje nije lijek. Izlaganje osobnih medija i identitetskih podataka, kao u ClarityCheck curenju 9 milijuna slika lica, podsjetnik je da su vaše najbolje obrane minimiziranje onoga što dijelite i osiguravanje onoga što ne možete povući.

Ključni zaključci

AfD-ovo curenje podataka od 421.000 e-poruka podsjetnik je da je vaša privatnost povezana s navikama svake organizacije kojoj pišete. Provjerite pojavljuje li se vaša adresa u istovarivanjima podataka, prijeđite na jedinstvene lozinke s dvofaktorskom autentifikacijom na svakom važnom računu i pazite na poruke koje kao da znaju previše o vama. Da biste vidjeli kako ovi koraci funkcioniraju u praksi, pročitajte naše izvještavanje o Gyazo upadu i drugim nedavnim izlaganjima te provjerite ponovno kako se budu pojavljivali dodatni provjereni detalji o ovom curenju.